Das Ende von Safe Harbor? Clouddienste aus den USA möglicherweise bald für europäische Unternehmen verboten?
Der Generalanwalt beim Europäischen Gerichtshof (EuGH) hat gestern in seinem Schlussantrag zum Fall C-362/14 Maximillian Schrems / Data Protection Commissioner (Irl) beantragt, die Safe Harbor-Entscheidung der Europäischen Kommission als ungültig zu erklären. Dies würde bedeuten, dass die USA grundsätzlich nicht mehr als sicherer Drittstaat im Sinne des Datenschutzes gelten würde. Dies hätte insbesondere Auswirkungen auf Unternehmen, die sich Cloudservices mit Serverstandorten in den USA bedienen.
- Hintergründe
Nach der Europäischen Datenschutzrichtlinie 95/46/EG dürfen personenbezogene Daten aus der Europäischen Union (EU) nicht in Drittstaaten übertragen werde, es sei denn, in dem Drittstaat herrscht ein vergleichbares Datenschutzniveau. Zwischen 1998 und 2000 wurde daraufhin ein Verfahren entwickelt, wonach sich US-Unternehmen gewissen Prinzipien verpflichten konnten und dem sog. safe harbor (sicherer Hafen) beitreten konnten. 2000 hat die EU-Kommission entschieden, dass das Datenschutzniveau der USA dem der EU vergleichbar ist und eine Übermittlung von Daten an Unternehmen im safe harbor zulässig ist.
Im Zuge des NSU-Skandals wurde diese Entscheidung jedoch in Frage gestellt. Der Datenschutzaktivist Max Schrems beschwerte sich daraufhin beim irischen Datenschutzbeauftragten (DPA) darüber, dass Facebook Daten in die USA überträgt. Die Beschwerde wurde vom DPA zurückgewiesen mit dem Hinweis auf die safe harbor-Entscheidung. Hiergegen klagte der Aktivist in Irland. Das Gericht legte den Fall dem EuGH zur Entscheidung vor.
- Der Antrag des Generalanwalts
Der Generalanwalt beim EuGH gab nun seine Stellungnahme zu dem Fall ab. Diese Stellungnahme ist zwar nicht für die Richter bindend, in der Praxis wird sie jedoch meistens vom Gericht übernommen. Daher ist es durchaus wahrscheinlich, dass die EuGH-Entscheidung so ausfallen wird, wie die Stellungnahme des Generalanwalts.
Danach wäre also die safe harbor-Entscheidung der Kommission ungültig. Die Begründung: Durch die jüngst bekanntgewordene Massenüberwachung durch die US-Behörden sei kein ausreichendes Datenschutzniveau in den USA mehr gewährleistet. Viel mehr würden Grundrechte der EU-Bürger verletzt.
- Auswirkungen
Sollten die Richter dem Antrag des Generalanwalts tatsächlich folgen und safe harbor kippen, hätte das möglicherweise weitreichende Auswirkungen für die Praxis.
Fraglich wäre dann zunächst, ob ein sicheres Datenschutzniveau noch wie bisher auch durch eine Individualvereinbarung mit dem datenverarbeitenden Unternehmen in den USA über den Standard der EU-Model-Clauses zu erreichen ist. Alle Unternehmen, die bisher auf safe harbor vertraut haben, müssten dann zwingend einen solchen Vertrag schließen.
Sicherlich kann man mit der Argumentation im vorliegenden Verfahren aber auch zu dem Schluss kommen, dass der Standard der EU-Model-Clauses durch die Überwachungspraktiken in den USA faktisch überhaupt nicht eingehalten werden kann, und das deshalb generell kein ausreichendes Datenschutzniveau in den USA gegeben ist.
Sollte auch die Möglichkeit der individualvertraglichen Regelung entfallen, wäre Outsourcing von Daten in die USA aus der EU heraus verboten.
Unternehmen, die bislang auf Cloudanbieter aus den USA oder auf Cloudlösungen mit Servern in den USA gesetzt haben, müssten sich dann neue Lösungen suchen, was ganz massive Probleme verursachen würde. Zum Beispiel dürften Kundendaten dann nicht mehr in die USA übertragen werden, auch nicht wenn dies nur zu Zwecken eines Backups oder der Archivierung geschieht.
Jubeln würden in diesem Fall europäische Cloudanbieter. Diese dürften großen Zulauf bekommen, wenn europäische Unternehmen neue Lösungen innerhalb der EU finden müssten.
Ob dies letztlich auch tatsächlich so eintreten wird, bleibt vorsichtig abzuwarten. Schließlich würden dadurch auch zahlreiche große US-Unternehmen massive wirtschaftliche Schäden erleiden. Wir halten Sie natürlich weiter auf dem Laufenden und Informieren Sie rechtzeitig über Änderungen.
- Das könnte Sie auch interessieren:
